ISO 27001 belső audit, amely javítja a rendszert

A belső audit lehetőséget ad a szervezetnek arra, hogy feltárja, hol tér el az információbiztonsági irányítási rendszere (IBIR) a szándékaitól. A hasznos eredmény egy alátámasztott értékelés és minden lényeges megállapításhoz egy világos fejlesztési útvonal, nem pedig egyszerűen egy tanúsításra összeállított képernyőkép-mappa.

Egy műszaki vezető számára a központi kérdés az, hogy a rendszer működik-e a valós szolgáltatások, emberek és átadások szintjén. Egy szabályzatot jóvá lehet hagyni, miközben a megvalósítása kudarcot vall. Egy auditnak fel kell tárnia ezt a különbséget anélkül, hogy minden operatív tökéletlenséget alátámasztatlan megfelelési megállapítássá alakítana.

Határozza meg, mit kell az auditnak igazolnia

Az ISO/IEC 27001 9.2. pontja tervezett időközönként végzett belső auditokat ír elő annak értékelésére, hogy az IBIR megfelel-e a szervezet saját követelményeinek és a szabványnak, valamint hogy hatékonyan van-e megvalósítva és fenntartva. Az auditprogramnak figyelembe kell vennie a folyamatok fontosságát és a korábbi auditok eredményeit, az auditorokat pedig úgy kell kiválasztani, hogy biztosított legyen az objektivitás és a pártatlanság.

A belső auditot végezhetik munkavállalók vagy erre a célra megbízott külső szakember. A belső audit nem ad ki tanúsítványt: a tanúsítás egy független tanúsító szervezet által végzett külön értékelés. A belső auditok a tanúsítás után is az IBIR működtetésének részei maradnak, nem csupán a kezdeti értékelésre való felkészülést szolgálják.

Az ISO 27001 nem ír elő általános, évenkénti belső auditgyakoriságot. Gyakorlati ajánlásként alkalmazzon olyan dokumentált ütemtervet, amely tükrözi a kockázatokat, a változásokat és a korábbi megállapításokat, és az instabil vagy kritikus folyamatokra gyakrabban fordítson figyelmet.

Egyezzen meg a kritériumokról, a határokról és a felelősségekről

Egy egyedi auditnak nem kell mindent egyszerre megvizsgálnia. A programnak a tervezett ciklusa alatt kell lefednie a hatókörbe tartozó IBIR-t, ahelyett hogy újra és újra csak a jól ismert kontrollokat vizsgálná.

Mielőtt bizonyítékokat kérne, dokumentálja a következő döntéseket:

Az A melléklet nem írja elő, hogy minden kontrollt azonos módon kell megvalósítani. Ellenőrizze, hogy az alkalmazhatósági döntések és a kizárások indokoltak-e, majd tesztelje azokat a vállalásokat, amelyeket a szervezet ténylegesen tett.

Válasszon olyan kompetens auditorokat, akik értik mind az irányítási rendszerre vonatkozó követelményeket, mind a vizsgált kontrollokat. Kerülje, hogy bárki a saját munkáját auditálja. Egy kis mérnöki csapatban egy külső auditor vagy egy másik területről érkező felülvizsgáló feloldhatja az összeférhetetlenséget, feltéve, hogy megfelelő kompetenciával és hozzáféréssel rendelkezik a bizonyítékokhoz.

A bizonyítékokat operatív kérdések köré építse

Induljon ki a hatókörből, a kockázatértékelésből, a kockázatkezelési tervből, az alkalmazhatósági nyilatkozatból, a szabályzatokból, a korábbi megállapításokból és a releváns operatív nyilvántartásokból. Ezek magyarázzák meg, minek kellene történnie, és hol számítanának leginkább a hibák.

Ezután fogalmazzon meg tesztelhető kérdéseket. A kiemelt hozzáférésnél kérdezze meg, hogy a jóváhagyás megelőzi-e a hozzáférést, a felülvizsgálatok lefedik-e a releváns fiókpopulációt, és a visszavont jogosultságok valóban megszűnnek-e. Egy aláírt hozzáférési szabályzat a szándékot igazolja; a fiókexportok, a jóváhagyási nyilvántartások és az eltávolítási naplók a működést.

Készítsen mintavételi tervet, amely tartalmazza a közelmúltbeli változásokat, a kritikus szolgáltatásokat, a korábbi gyengeségeket és a kivételeket. Rögzítse a populációt, a kiválasztási módszert, az időszakot és az indoklást. A gyakorlati mintavételnek nem kell egyetlen rögzített mintanagyságot alkalmaznia, de megmagyarázhatónak kell lennie. Néhány kényelmesen kiválasztott képernyőkép ritkán reprezentál egy teljes működési időszakot.

Vesse össze a nyilvántartásokat interjúkkal és megfigyeléssel. Ha a gazdák manuális átadást írnak le, vizsgálja meg a már lezajlott átadásokat. Ha a bizonyíték ellentmond egy interjúnak, vizsgálja ki, ahelyett hogy a megnyugtatóbb változatot választaná. Rögzítse a korlátokat, ha egy rendszer nem tud korábbi bizonyítékokat szolgáltatni; a múltbeli teljesítményre ne következtessen hallgatólagosan a jelenlegi konfigurációból.

Kövessen végig egy kontrollt egy kidolgozott példán

Szemléltető feltételezések: egy SaaS-vállalat három hónapra vonatkozóan auditálja a munkavállalók kilépését. Eljárása szerint a hozzáférést a munkavállaló távozásának időpontjáig meg kell szüntetni. A HR-nyilvántartások 12 kilépést mutatnak; az auditor mindhárom kiemelt jogosultságú felhasználót és négy további, különböző csapatokból származó kilépést vizsgál meg.

Az auditor összeveti a HR-ben rögzített távozási időbélyegeket az identitásszolgáltató eseményeivel, az alkalmazásfiókok állapotával és a kiléptetési jegyekkel. Egy korábbi mérnök identitásszolgáltatói fiókját időben letiltották, de egy külön kezelt repositoryfiók még két napig aktív maradt.

A megállapítás minősítése előtt állapítsa meg, hogy a fiókkal lehetett-e hitelesíteni, milyen jogosultságok maradtak meg, és létezett-e jóváhagyott kivétel. Készítsen interjút a HR-rel és az alkalmazásgazdával, hogy megértse az átadást. Ha a mulasztás rendszerszintűnek tűnik, terjessze ki a tesztelést a külön kezelt alkalmazásokat érintő további kilépésekre.

Egy védhető megállapítás megnevezi a megsértett eljárást, a megfigyelt állapotot, az alátámasztó nyilvántartásokat, az érintett hatókört és a lehetséges következményt. Nem állíthatja, hogy jogosulatlan hozzáférés történt, hacsak a bizonyítékok nem támasztják alá ezt a következtetést.

Válassza szét a megállapításokat a feltételezésektől

Egy nemmegfelelőséghez bizonyíték szükséges arról, hogy egy követelmény nem teljesült. Egy fejlesztési lehetőség hasznos javítást azonosít anélkül, hogy jogsértést bizonyítana. Egy nyitott kérdés addig marad nyitva, amíg elegendő bizonyíték nem támaszt alá egy következtetést.

Alkalmazzon következetes besorolásokat, és a megállapításokat a kitettség, az ismétlődés és a kiterjedés alapján rangsorolja. Ne engedje, hogy egy súlyossági címke helyettesítse az indoklást. Adjon lehetőséget a folyamatgazdáknak a ténybeli hibák kijavítására, miközben a következtetésért az auditor felelőssége megmarad.

A jelentésnek tartalmaznia kell a hatókört, a kritériumokat, a módszereket, a korlátokat, a megállapításokat és az elvégzett munkával alátámasztott átfogó értékelést.

A helyesbítő intézkedés legyen több puszta lezárásnál

Egy intézkedési tervnek meg kell neveznie a felelőst, a határidőt, az azonnali javítást, a kiváltó okot és azt a változtatást, amely az ismétlődést hivatott megelőzni. A repositoryfiók eltávolítása az adott esetet javítja. A hiányos alkalmazásleltár és a HR–IT átadás kijavítása a folyamatot kezeli.

Ne fogadja el az „emberi hibát” teljes kiváltó okként, ha a munkafolyamat az emlékezetre támaszkodik, vagy hiányzik belőle a felelősség. Az intézkedés lezárása előtt határozza meg a hatékonysági kritériumokat: például a későbbi kilépéseknél el kell végezni az érintett alkalmazásleltárral szembeni egyeztetett ellenőrzéseket.

Egy lezárt jegy a végrehajtást bizonyítja, nem feltétlenül a hatékonyságot. A megvalósítás után vizsgáljon meg egy újabb mintát, és őrizze meg az ellenőrzés eredményét. Ha ugyanaz a hiba megismétlődik, nyissa újra az intézkedést.

Csatornázza az eredményeket a vezetéshez és a mindennapi munkába

A visszatérő gyengeségeket, a késésben lévő intézkedéseket, az erőforrásigényeket és a jelentős kockázati döntéseket jelentse az érintett vezetésnek. A belső audit eredményei az ISO 27001 szerint a vezetőségi átvizsgálás bemenetei; az átvizsgálás azonban különálló tevékenység más kötelező bemenetekkel, nem pusztán egy megbeszélés az auditjelentés jóváhagyására.

A Secani összekapcsolja a követelményeket, a bizonyítékokat, a felelősöket, a feladatokat és a felülvizsgálati döntéseket, így az értékelés és az utókövetés kontextusban marad. Tartsa az alátámasztó nyilvántartásokat a releváns kontrollokhoz csatolva, és őrizze meg a bizonyítékokra vonatkozó következtetések emberi jóváhagyását. A helyszíni munka előtt auditfelkészültségi útmutatónk segítségével rendszerezze ezeket a nyilvántartásokat.

Gyakorlati következő lépésként válasszon ki egy kritikus folyamatot, jelöljön ki egy pártatlan auditort, és írja le a kritériumait és a mintavételi tervét. A hatékonyság ellenőrzését a helyesbítő intézkedések kiosztásakor ütemezze, ne azután, hogy mindenki befejezettnek tekinti őket.